TLS एन्क्रिप्शन, समझाया गया

TLS वह बुनियादी एन्क्रिप्शन प्रोटोकॉल है जो इंटरनेट पर लगभग सभी कनेक्शन को सुरक्षित रखता है। यह फॉर्म सबमिट करने, खातों में लॉग-इन करने, बैंक जानकारी देखने और ऑनलाइन खरीदारी करने की सुविधा देता है, बिना किसी और की नज़र पड़े। इसमें आपका इंटरनेट सेवा प्रोवाइडर(नई विंडो) यानी ISP, हॉटस्पॉट होस्ट और ऐसे हैकर्स शामिल हैं जो सार्वजनिक वाई-फाई की निगरानी कर सकते हैं।

TLS आपके डिवाइस और सर्वर के बीच एक एन्क्रिप्ट किया हुआ कनेक्शन बनाता है, जिससे डेटा का सुरक्षित ट्रांसफर संभव होता है। यह सुनिश्चित करता है:

• गोपनीयता: आपका डेटा इस तरह स्क्रैम्बल किया जाता है कि केवल वही वेबसाइट या सर्वर उसे पढ़ सकता है जिससे कनेक्ट किया जाता है।
• इंटेग्रिटी: ट्रांज़िट के दौरान डेटा में बदलाव बिना पकड़े नहीं किया जा सकता।
• ऑथेंटिकेशन: इससे पक्का होता है कि बात असली वेबसाइट या सर्वर से हो रही है, किसी धोखेबाज़ से नहीं।

यह पक्का करने के लिए कि बात सही सर्वर से हो रही है, सर्वर एक डिजिटल सर्टिफिकेट पेश करता है जो साबित करता है कि वह वही है जिसका दावा करता है। ये सर्टिफिकेट सर्टिफिकेट अथॉरिटी (CA) द्वारा जारी किए जाते हैं — भरोसेमंद संगठन जो उस डोमेन को सार्वजनिक चाबी से जोड़ने वाले सर्टिफिकेट पर साइन करते हैं।

यानी भरोसा साइट पर नहीं, बल्कि उसकी पुष्टि करने वाली CA पर होता है। यह भरोसा आपके ब्राउज़र की HTTPS कनेक्शन जानकारी में दिखता है, जिसे पारंपरिक रूप से एड्रेस बार में ताले का आइकन से दिखाया जाता है; उस पर क्लिक करने से कनेक्शन और सर्टिफिकेट की जानकारी देखी जा सकती है।

रूट CA ब्राउज़रों में पहले से मौजूद होती हैं। उदाहरण के लिए, Mozilla के रूट स्टोर में लगभग 140–160 रूट सर्टिफिकेट शामिल हैं। ये बदले में उन इंटरमीडिएट CA को सत्यापित करते हैं जो ज़्यादातर वेबसाइटों को सत्यापित करने के लिए इस्तेमाल होती हैं।

आम तौर पर यह सिस्टम अच्छी तरह काम करता है, लेकिन परफेक्ट नहीं है। :हजारों इंटरमीडिएट CA होती हैं, जिससे हमले की सतह बड़ी हो जाती है। साथ ही, CA पर सरकारों का दबाव डाला जा सकता है(नई विंडो) या आपराधिक संगठन उन्हें हैक करके सुरक्षा-भंग वाले सर्टिफिकेट जारी करवा सकते हैं। एक क्लासिक उदाहरण DigiNotar(नई विंडो) है, एक डच CA जिसमें 2011 में हमलावरों ने सेंध लगाई और सैकड़ों फर्जी सर्टिफिकेट जारी किए, जिससे कथित तौर पर ईरान में मुख्य रूप से लगभग 300,000 यूज़र्स का Gmail ट्रैफिक इंटरसेप्ट किया गया।

इन समस्याओं से निपटने के लिए, आधुनिक TLS कनेक्शन सर्टिफिकेट ट्रांसपेरेंसी यानी CT का इस्तेमाल करते हैं। इससे यह नहीं रुकता कि किसी CA को शुरुआत में हैक या मजबूर किया जाए, लेकिन इसके असर को पकड़ना और काबू में करना कहीं ज़्यादा आसान हो जाता है।

हर सार्वजनिक रूप से भरोसेमंद सर्टिफिकेट को जारी होते ही सार्वजनिक और छेड़छाड़-रोधी रिकॉर्ड में दर्ज किया जाना चाहिए। उदाहरण के लिए, Chrome ने 2018 से ऐसे किसी भी सर्टिफिकेट पर भरोसा करने से मना कर दिया है जो कम से कम दो स्वतंत्र CT लॉग में दर्ज नहीं है।

नतीजा यह है कि डोमेन मालिक अपनी साइट के लिए जारी फर्जी सर्टिफिकेट को कुछ ही घंटों में पकड़ सकते हैं, जबकि DigiNotar को इसमें हफ्ते लगे थे। पकड़े जाने के बाद प्रभावित सर्टिफिकेट को जल्दी वापस लिया जा सकता है — और गंभीर मामलों में ब्राउज़र अगले अपडेट पर उस CA से भरोसा हटा सकते हैं।

TLS asymmetric और symmetric एन्क्रिप्शन को जोड़ता है। Asymmetric (public-key) क्रिप्टोग्राफी का इस्तेमाल कनेक्शन स्थापित करने के लिए किया जाता है, जिससे ब्राउज़र और सर्वर एक साझा सीक्रेट पर सहमत हो पाते हैं—बिना उस सीक्रेट को नेटवर्क पर भेजे। इसे TLS handshake कहा जाता है।

सुरक्षित कनेक्शन स्थापित हो जाने के बाद, असली डेटा symmetric-key ciphers (आम तौर पर AES) के ज़रिए ट्रांसफर होता है। इस्तेमाल किए जाने वाले सटीक एन्क्रिप्शन एल्गोरिदम पर वेब सर्वर और क्लाइंट, जैसे ब्राउज़र, के बीच बातचीत से तय होता है। ज़्यादातर ब्राउज़रों में लॉक आइकन पर क्लिक या टैप करके HTTPS कनेक्शन के लिए इस्तेमाल किए जाने वाले एन्क्रिप्शन एल्गोरिदम की सुरक्षा से जुड़ी और जानकारी देखी जा सकती है।

पारंपरिक TLS उन वेबसाइटों के नाम नहीं छिपाता जिनसे कनेक्शन किया जाता है, क्योंकि शुरुआती handshake वेबसाइट का नाम (SNI) और अन्य जानकारी निगरानी करने वाले किसी भी व्यक्ति के सामने लीक कर देता है। मार्च 2026 में IETF द्वारा अनुमोदित एक नया मानक इसे ठीक करने के लिए है। जब यह काम करता है, तो Encrypted Client Hello (ECH) खुद handshake को एन्क्रिप्ट कर देता है, जिससे आपका ISP या हॉटस्पॉट ऑपरेटर आपकी विज़िट की जाने वाली साइटें नहीं देख पाते। लेकिन:

• ECH तभी काम करता है जब कई वेबसाइटें एक ही IP पता(नई विंडो) शेयर करती हैं, जैसे कि वे एक कंटेंट डिलीवरी नेटवर्क(नई विंडो) (CDN) के पीछे करती हैं।
• अगर किसी साइट का अपना समर्पित IP हो, तो गंतव्य दिखाई देता रहता है।
• ECH इस बात पर निर्भर करता है कि ब्राउज़र ECH कॉन्फ़िगरेशन कीज़ लाने के लिए एन्क्रिप्टेड DNS (DoH) का इस्तेमाल करे। अगर यह असफल हो जाए, तो कनेक्शन चुपचाप plaintext SNI पर वापस चले जाते हैं।
• ECH अभी रोलआउट हो रहा है और Firefox तथा Chrome में समर्थित है। हालांकि, फिलहाल टॉप मिलियन वेबसाइटों में से सिर्फ़ करीब 9–10% ECH को समर्थन देती हैं, और इनमें से लगभग सभी Cloudflare का इस्तेमाल करती हैं।
• CDN और DoH प्रोवाइडर अब भी आपके नेटवर्क कनेक्शन का अंतिम गंतव्य देख सकते हैं।

TLS और end-to-end एन्क्रिप्शन, दोनों आपके डेटा की सुरक्षा के लिए एन्क्रिप्शन का इस्तेमाल करते हैं, लेकिन इनमें यह फ़र्क है कि इसे कौन डीक्रिप्ट कर सकता है:

• TLS आपके डिवाइस और सर्वर के बीच के कनेक्शन को एन्क्रिप्ट करता है। आपका डेटा उस सर्वर तक पहुंचने के बाद वहीं डीक्रिप्ट हो जाता है। सर्वर चलाने वाला कोई भी व्यक्ति इसे पढ़ सकता है।
• End-to-end एन्क्रिप्शन (E2EE) आपके डिवाइस और किसी दूसरे डिवाइस के बीच के कनेक्शन को एन्क्रिप्ट करता है। भले ही आपका डेटा रास्ते में सर्वरों से होकर गुज़रे, इसे सिर्फ़ इच्छित प्राप्तकर्ता ही डीक्रिप्ट कर सकता है।

Gmail के ज़रिए भेजे गए संदेशों को TLS का इस्तेमाल करके ट्रांज़िट में सुरक्षित रखा जाता है, लेकिन Google के सर्वर तक पहुंचते ही उन्हें डीक्रिप्ट कर दिया जाता है, जिससे Google उन्हें पढ़ सकता है। E2EE के ज़रिए भेजे गए संदेश, जैसे Signal के संदेश या Proton Mail यूज़र्स के बीच का ईमेल, सिर्फ़ इच्छित प्राप्तकर्ता ही पढ़ सकता है।

TLS और VPN, दोनों ट्रांज़िट में डेटा की सुरक्षा करते हैं, लेकिन इनके मकसद बहुत अलग-अलग हैं:

• VPN इस बात को छिपा देता है कि कौन-सी वेबसाइटें विज़िट की जाती हैं। TLS (आम तौर पर) नहीं छिपाता।
• VPN आपकी DNS क्वेरीज़(नई विंडो) छिपा देता है। TLS (DoH के बिना) नहीं छिपाता।
• VPN उन वेबसाइटों को, जिन पर विज़िट की जाती है, आपका असली IP पता(नई विंडो) जानने से रोकता है। TLS नहीं रोकता।
• एक भरोसेमंद VPN(नई विंडो) आपके ब्राउज़िंग इतिहास का कोई लॉग(नई विंडो) नहीं रखता। TLS आपके ISP (और इसी तरह आपकी सरकार(नई विंडो)) को आपकी गतिविधि की जासूसी करने और उसके लॉग स्टोर करने की सुविधा देता है।
• TLS हर कनेक्शन को अलग-अलग सुरक्षित करता है, एक बार में एक ऐप या प्रोसेस। इसके उलट, एक VPN आपके डिवाइस के सभी कनेक्शन को VPN टनल के ज़रिए रूट करता है (जब तक स्प्लिट टनलिंग(नई विंडो) का इस्तेमाल न किया जाए), जिससे VPN से जुड़े होने पर आपके ब्राउज़र और ऐप के इस्तेमाल से व्यवहार के पैटर्न का अनुमान लगाना किसी निगरानीकर्ता के लिए मुश्किल हो जाता है।

TLS और VPN एक-दूसरे के पूरक हैं और सुरक्षा की कई परतें मुहैया कराते हैं।

TLS की वजह से ही ऑनलाइन बैंकिंग, शॉपिंग और अपने खातों में लॉग-इन किया जा सकता है, बिना इसके कि नेटवर्क के रास्ते पर मौजूद हर अजनबी देखे कि क्या किया जा रहा है। इसके बिना HTTPS न होता, और वेब इस्तेमाल करने के बारे में जिन बातों को हम अब सहज मान लेते हैं, उनमें से ज़्यादातर भी न होतीं।

लेकिन TLS को कभी हर चीज़ छिपाने के लिए नहीं बनाया गया था। यह कनेक्शन के कंटेंट को सुरक्षित रखता है, इस तथ्य को नहीं कि कनेक्शन हुआ। आपका ISP, कोई वाई-फाई हॉटस्पॉट ऑपरेटर या नेटवर्क पर निगरानी रखने वाला कोई भी व्यक्ति अब भी देख सकता है कि किन साइटों पर विज़िट की जाती है, भले ही वे यह न देख पाएं कि क्या किया जा रहा है। E2EE के उलट, यह उस सेवा को, जिससे कनेक्शन किया जा रहा है, आपके डेटा तक एक्सेस करने से नहीं रोकता।

इसलिए TLS, E2EE और VPN एक-दूसरे के पूरक हैं: TLS बुनियादी सुरक्षा देता है, E2EE सुनिश्चित करता है कि सिर्फ़ इच्छित प्राप्तकर्ता ही आपके डेटा तक एक्सेस कर सकें, और एक भरोसेमंद VPN ऑनलाइन प्राइवेसी का उच्च स्तर प्रदान करता है।

हर बार जब Proton ऐप का इस्तेमाल किया जाता है, तो पर्दे के पीछे काम करने वाला प्रोटोकॉल TLS ही होता है (Proton VPN ऐप्स को छोड़कर, जो अब मुख्य रूप से WireGuard(नई विंडो) का इस्तेमाल करते हैं)। HTTPS आपके कनेक्शन की सुरक्षा के लिए इसी पर निर्भर करता है, और यह उन जगहों पर भी ट्रैफिक सुरक्षित करता है जो सीधे दिखाई नहीं देतीं, जैसे सर्वरों के बीच मेल डिलीवरी। लेकिन TLS डेटा की सुरक्षा सिर्फ़ तब करता है जब वह ट्रांसफर में हो। सच में निजी कंटेंट के लिए end-to-end एन्क्रिप्शन और zero-access एन्क्रिप्शन जैसी ज़्यादा मज़बूत सुरक्षा ज़रूरी है।